[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:nl:nis2-voor-een-saas-bedrijf-u-bent-een-aanbieder-van-cloudcomputingdiensten-en-dit-volgt-eruit":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"nl","nis2-voor-een-saas-bedrijf-u-bent-een-aanbieder-van-cloudcomputingdiensten-en-dit-volgt-eruit","NIS2 voor een SaaS-bedrijf: u bent een aanbieder van cloudcomputingdiensten, en dit volgt eruit","Overweging 33 van de richtlijn noemt software als dienst als een clouddienstmodel, zodat een SaaS-bedrijf van middelgrote omvang of groter als aanbieder van cloudcomputingdiensten een entiteit van NIS2 is: belangrijk onder de plafonds voor middelgrote ondernemingen, essentieel erboven. Wat volgt, in de volgorde waarin het komt: de lidstaat van uw hoofdvestiging, het register waarin u uiterlijk op 17 januari 2025 moest staan, de maatregelen van Uitvoeringsverordening 2024\u002F2690, de vier incidentdrempels van haar artikel 7 en de klokken van artikel 23, en de grens tussen dit alles en de CRA.","2026-09-12","\nEen bedrijf dat software als dienst verkoopt, leest meestal eerst de Cyber Resilience Act, stelt vast dat een webapplicatie die „uitsluitend via een webbrowser” wordt benaderd geen product met digitale elementen is, en stopt. De wet die het wél raakt, is de andere. Richtlijn (EU) 2022\u002F2555 noemt aanbieders van cloudcomputingdiensten in bijlage I, onder digitale infrastructuur, en haar overweging 33 zegt wat een cloudcomputingdienst is, in bewoordingen die het bedrijfsmodel bij naam noemen. Dit artikel is wat dat voor een SaaS-bedrijf betekent, in de volgorde waarin de plichten komen.\n\n## De definitie noemt SaaS\n\nArtikel 6(30) definieert een cloudcomputingdienst als „een digitale dienst die administratie op aanvraag en brede toegang op afstand tot een schaalbare en elastische pool van deelbare computerbronnen mogelijk maakt, ook wanneer die bronnen over verschillende locaties verspreid zijn”. Overweging 33 vult de termen in: computercapaciteit „omvat middelen zoals netwerken, servers of andere infrastructuur, besturingssystemen, software, opslag, toepassingen en diensten”; „de dienstmodellen van cloudcomputing omvatten onder meer infrastructuur als dienst (IaaS), platform als dienst (PaaS), software als dienst (SaaS) en netwerk als dienst (NaaS)”; de termen hebben de betekenis van ISO\u002FIEC 17788:2014; „beheer op verzoek” is het vermogen van de klant om zonder menselijke tussenkomst aan de kant van de aanbieder capaciteit in te richten, „brede toegang op afstand” toegang via het netwerk vanaf thin of thick clients, „schaalbaar” en „elastisch” beschrijven middelen die met de vraag worden toegewezen en vrijgegeven, en „deelbaar” beschrijft middelen die aan meerdere gebruikers worden geleverd die een gemeenschappelijke toegang tot de dienst delen, waarbij de verwerking voor elke gebruiker afzonderlijk plaatsvindt.\n\nEen multi-tenant applicatie waarvoor klanten zich aanmelden, die ze vanuit een browser gebruiken en waarvan ze hun eigen gebruik opschalen, is die definitie. De grensgevallen zijn die waar een term niet opgaat: een single-tenant installatie die met de hand voor één klant is ingericht, is niet op verzoek en niet deelbaar; een product dat de klant installeert en draait, is software, geen dienst, en is van de CRA. De regel in bijlage I is die waarnaar de bepaling van het toepassingsgebied als eerste vraagt, en [hij staat daar woordelijk in zes talen](\u002Fnis2\u002Fscope).\n\n## De omvang bepaalt welk soort entiteit u bent\n\nVan een opgesomd soort zijn is de eerste voorwaarde van artikel 2(1); de tweede is de omvang. De richtlijn geldt voor entiteiten die „in aanmerking komen als middelgrote ondernemingen uit hoofde van artikel 2 van de bijlage bij Aanbeveling 2003\u002F361\u002FEG, of de plafonds voor middelgrote ondernemingen overschrijden”: 50 werknemers of meer, of meer dan 10 miljoen EUR aan zowel omzet als balanstotaal, geteld voor de onderneming samen met haar partnerondernemingen en verbonden ondernemingen. Een SaaS-bedrijf van die omvang is een belangrijke entiteit onder artikel 3(2). Een dat de plafonds voor middelgrote ondernemingen overschrijdt, 250 werknemers of zowel 50 miljoen EUR omzet als 43 miljoen EUR balanstotaal, is een essentiële entiteit onder artikel 3(1)(a), omdat cloudcomputing een soort uit bijlage I is en soorten uit bijlage I door omvang alleen essentieel zijn. Onder het plafond van de kleine ondernemingen valt het bedrijf erbuiten, tenzij zijn lidstaat het aanmerkt onder artikel 2(2)(b) tot en met (e); zijn klanten zullen toch het toeleveringsketenbewijs vragen dat artikel 21(2)(d) hen laat verzamelen. [De regels, in volgorde, met de zeven manieren om essentieel te zijn, zijn een eigen artikel](\u002Farticles\u002Fessential-or-important-under-nis2-the-size-rule-the-size-blind-rules-and-the-seven-ways-to-be-essential).\n\n## De wet van één lidstaat, bepaald door waar de beslissingen vallen\n\nVoor een aanbieder van cloudcomputingdiensten legt artikel 26(1)(b) de bevoegdheid bij de lidstaat van de hoofdvestiging in de Unie, en artikel 26(2) zegt dat dat „de lidstaat is waar de beslissingen in verband met de maatregelen voor het beheer van cyberbeveiligingsrisico's overwegend worden genomen”, anders die waar de beveiligingsoperaties worden uitgevoerd, anders die met de vestiging met de meeste werknemers. Klanten in andere lidstaten veranderen daar niets aan. Een buiten de Unie gevestigd SaaS-bedrijf dat de dienst daar aanbiedt, wijst een vertegenwoordiger aan in een lidstaat waar het de dienst aanbiedt en valt onder de bevoegdheid van die lidstaat (artikel 26(3)); zonder vertegenwoordiger kan elke lidstaat waar het de dienst verleent tegen het bedrijf optreden.\n\nDe omzettingshandeling van die lidstaat is degene die de bevoegde autoriteit, de registratieroute, het meldformulier en de boeteplafonds noemt. [Welke handeling elke lidstaat aan de Commissie heeft meegedeeld, en welke lidstaten er geen hebben meegedeeld, staat op de registerpagina](\u002Fnis2\u002Ftransposition), gelezen uit de eigen gegevens van de Commissie.\n\n## Het register\n\nArtikel 27 laat Enisa een register bijhouden van onder meer aanbieders van cloudcomputingdiensten, uit informatie die de entiteiten bij hun bevoegde autoriteit indienen: de naam, de sector en subsector, het adres van de hoofdvestiging en de andere vestigingen in de Unie of van de vertegenwoordiger, contactgegevens, de lidstaten waar de dienst wordt verleend, en de IP-bereiken. De termijn in artikel 27(2) was 17 januari 2025, en wijzigingen moeten binnen drie maanden worden gemeld. Een SaaS-bedrijf van de bovenstaande omvang dat zich niet heeft geregistreerd, is te laat, niet vrijgesteld; de registerpagina noemt de handeling van de lidstaat, en de handeling noemt het portaal.\n\n## De maatregelen zijn uniform, en ze zijn ISO 27001\n\nVoor aanbieders van cloudcomputingdiensten worden de tien maatregelen van artikel 21(2) niet aan de lidstaat overgelaten. Uitvoeringsverordening (EU) 2024\u002F2690 geldt rechtstreeks voor hen, haar artikel 1 noemt aanbieders van cloudcomputingdiensten onder „de relevante entiteiten”, en haar bijlage legt de technische en methodologische vereisten van elke maatregel vast in 13 secties, dezelfde tekst in elke lidstaat. Overweging 3 van de verordening zegt waar die secties vandaan komen: uit Europese en internationale normen, waaronder ISO\u002FIEC 27001. [De koppelingspagina zet elke sectie tegenover de ISO 27001-maatregelen die eraan voldoen](\u002Fnis2\u002Fiso-27001-mapping) en noemt de twee plekken waar ze meer vraagt dan een ISMS geeft.\n\n## Incidenten: vier drempels, drie klokken\n\nDezelfde verordening bepaalt wanneer het incident van een SaaS-bedrijf significant is, en ze vervangt het oordeel door getallen. Artikel 3(1) geldt voor elke relevante entiteit: een direct financieel verlies boven 500 000 EUR of 5 % van de jaaromzet, indien dat lager is; het uitlekken van bedrijfsgeheimen; de dood of aanzienlijke schade aan de gezondheid; een succesvolle, vermoedelijk kwaadwillige en ongeoorloofde toegang die ernstige operationele verstoring kan veroorzaken. Artikel 7 voegt er vier aan toe voor aanbieders van cloudcomputingdiensten: de dienst meer dan 30 minuten volledig niet beschikbaar; de beschikbaarheid beperkt voor meer dan 5 % van de gebruikers van de dienst in de Unie of meer dan 1 miljoen van hen, afhankelijk van welk aantal het kleinste is, gedurende meer dan een uur; de integriteit, vertrouwelijkheid of authenticiteit van opgeslagen, verzonden of verwerkte gegevens aangetast door een vermoedelijk kwaadwillige handeling; of aangetast met gevolgen voor meer dan 5 % of meer dan 1 miljoen van de gebruikers in de Unie, afhankelijk van welk aantal het kleinste is. Gepland onderhoud is uitgesloten (artikel 3(2)), en gebruikers worden geteld als klanten met een overeenkomst plus de natuurlijke en rechtspersonen die met zakelijke klanten verbonden zijn en de dienst gebruiken (artikel 3(3)).\n\nEen significant incident start de klokken van artikel 23: een vroegtijdige waarschuwing binnen 24 uur na kennisname, een melding binnen 72 uur, een eindverslag binnen één maand, bij het CSIRT of de bevoegde autoriteit zoals de handeling van de lidstaat bepaalt. [De klokken, naast die van de CRA, en de drempels volledig geciteerd](\u002Farticles\u002Fnis2-or-cra-which-incident-clock-runs-for-a-software-company-and-what-makes-an-incident-significant) zijn een eigen artikel; een half uur volledige onbeschikbaarheid is een te melden incident zonder verder oordeel, en dat is een feit dat onder ogen hoort te komen van wie uw statuspagina beheert.\n\n## De grens met de CRA\n\nDe Cyber Resilience Act raakt producten met digitale elementen. De richtsnoeren van de Commissie bij de verordening, C(2026) 5252 van 27 juli 2026, zeggen in punt 21 dat software „die op afstand wordt uitgevoerd en waartoe de gebruiker enkel toegang heeft, niet alleen op die grond een product met digitale elementen is”, wat „doorgaans het geval is bij webapplicaties, met inbegrip van progressive web apps, wanneer zij uitsluitend via een webbrowser worden benaderd”. De dienst is van NIS2. De uitzondering is een SaaS-bedrijf dat ook iets geïnstalleerds levert, een desktopclient, een mobiele app, een agent, een SDK: dat is een product, en de cloud erachter is gegevensverwerking op afstand onder artikel 3(2) van de CRA waar een functie van het product zonder die cloud uitvalt. [Welke wet welk deel raakt](\u002Farticles\u002Fcra-or-nis2-which-one-applies-to-a-software-company) en [welke delen van de backend binnen de CRA vallen](\u002Farticles\u002Fwhich-parts-of-your-backend-are-inside-the-cra-remote-data-processing) zijn de twee artikelen voor dat bedrijf; het incidentdossier is dan één dossier met twee formulieren.\n\n## Wat dit kwartaal te doen\n\nLeg de bepaling vast, met de artikelen: de regel in bijlage I, de grootteklasse zoals geteld, de lidstaat van de hoofdvestiging, belangrijk of essentieel. [Het toepassingsgebiedhulpmiddel schrijft haar uit vijf antwoorden](\u002Fnis2\u002Fscope). Controleer de registratie tegen het portaal van de lidstaat en de velden van artikel 27, en de datum waarop ze is gedaan. Zet wat het ISMS al heeft naast de 13 secties van de verordening, en dicht de twee gaten die de koppeling noemt. Neem de vier drempels van artikel 7 en de regel van „kennis krijgen” op in de incidentprocedure, met wie meldt en waar, voordat het eerste incident haar op de proef stelt.\n\n## Bronnen\n\n- Richtlijn (EU) 2022\u002F2555 (NIS2), artikel 2(1) en (2), artikel 3(1) en (2), artikel 6(30), artikel 21(2), artikel 23(4), artikel 26(1) tot en met (3), artikel 27(1) tot en met (3), bijlage I punt 8, overweging 33.\n- Uitvoeringsverordening (EU) 2024\u002F2690 van de Commissie, overweging 3, artikel 1, artikel 3, artikel 7, bijlage.\n- Verordening (EU) 2024\u002F2847 (CRA), artikel 3(1) en (2), overweging 12; richtsnoeren van de Commissie C(2026) 5252, punten 20 en 21.\n- Aanbeveling 2003\u002F361\u002FEG van de Commissie, bijlage, artikelen 2 en 3.\n\nDit is geen juridisch advies. De handeling van de lidstaat noemt de autoriteit, het portaal en het formulier, en kan categorieën toevoegen onder artikel 2(2)(b) tot en met (e).\n",1789383965338]